Datenschutz im Arbeitsverhältnis: Zweck, Zugriff und Aufbewahrung

Personalunterlagen enthalten Informationen, auf die nicht jeder im Betrieb Zugriff braucht. Klären Sie für jede Datensammlung den Zweck, die Zuständigkeit und den berechtigten Personenkreis. Prüfen Sie auch, wann Unterlagen nicht mehr benötigt werden und wie sie dann behandelt werden.

Welche Daten Arbeitgeber verarbeiten dürfen

Grundsatz: Personenbezogene Daten von Mitarbeitenden dürfen nur verarbeitet werden, wenn ein Erlaubnistatbestand vorliegt. Die wichtigsten im Arbeitsrecht:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Daten, die für die Erfüllung des Arbeitsvertrags notwendig sind: Name, Adresse, Bankverbindung, Sozialversicherungsnummer, Qualifikationsnachweise.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Steuer- und sozialversicherungsrechtliche Meldepflichten, Arbeitszeiterfassung.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheitsüberwachung unter strengen Bedingungen, interne Kommunikationsanalysen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Fotos auf der Website, Mitarbeiterprofile im Intranet – aber Vorsicht: Einwilligung im Arbeitsverhältnis ist nur selten wirklich freiwillig.

Besonders geschützte Datenkategorien

Art. 9 DSGVO nennt besonders sensible Datenkategorien, die nur ausnahmsweise verarbeitet werden dürfen:

• Gesundheitsdaten (Krankschreibungen, Behinderungen, Schwangerschaft);
• Gewerkschaftszugehörigkeit;
• Ethnische Herkunft, religiöse Überzeugungen;
• Biometrische Daten (Fingerabdruck, Gesichtserkennung bei Zugangskontrollen).

Für diese Daten braucht es in der Regel eine ausdrückliche Einwilligung oder einen Tarifvertrag bzw. Betriebsvereinbarung als Grundlage.

Bewerberdaten: Kurze Aufbewahrungsfristen

Bewerberdaten dürfen nur für die Dauer des Auswahlverfahrens gespeichert werden. Nach einer Absage gilt: Daten innerhalb von 6 Monaten löschen – wegen möglicher AGG-Klagen. Ausnahme: Der Bewerber stimmt ausdrücklich zu, in den Talent Pool aufgenommen zu werden. Dann ist eine Speicherung für bis zu zwei Jahre mit erneuter Einwilligung möglich.

Überwachung am Arbeitsplatz: enge Grenzen

Videoüberwachung, E-Mail-Monitoring, GPS-Tracking von Firmenfahrzeugen, Keylogger – alles zulässig? Nein. Die DSGVO und das BDSG setzen enge Grenzen:

• Videoüberwachung öffentlich zugänglicher Bereiche (Eingang, Empfang): zulässig mit Kennzeichnungspflicht. Sanitäranlagen oder Umkleiden: verboten.
• E-Mail-Monitoring ist in Deutschland nur bei konkretem Verdacht auf schwere Pflichtverstöße und unter Einbeziehung des Betriebsrats zulässig – nicht präventiv pauschal.
• GPS-Tracking von Dienstfahrzeugen: für betriebliche Zwecke zulässig, aber mit Transparenz gegenüber den Nutzenden und ggf. Betriebsvereinbarung.

Informationspflichten: Was Mitarbeitende wissen müssen

Art. 13 DSGVO verpflichtet Arbeitgeber, Mitarbeitende (und Bewerber) über die Verarbeitung ihrer Daten zu informieren: Wer verarbeitet? Was wird verarbeitet? Wie lange? Welche Rechte haben sie? Diese Information muss dokumentiert sein – typischerweise in einem Datenschutzhinweis im Arbeitsvertrag oder als separates Dokument.

Datenpannen: 72-Stunden-Frist

Kommt es zu einer Datenpanne (Datenleck, unbefugter Zugriff auf Personalakten, verlorenes Notebook mit Mitarbeiterdaten), muss die zuständige Datenschutzbehörde innerhalb von 72 Stunden informiert werden – sofern die Panne ein Risiko für die betroffenen Personen darstellt. Wer keine Meldeprozesse hat, handelt fahrlässig.

Datenschutz als Arbeitgeberqualität

Datenschutz ist nicht nur Compliance – er ist Vertrauenssache. Mitarbeitende, die wissen, dass ihre Daten sorgfältig behandelt werden, fühlen sich respektiert. Betriebe, die transparente Datenschutzpraktiken etablieren, setzen ein deutliches Signal für eine wertschätzende Unternehmenskultur. Das fließt direkt in die Dimension Führung & Kultur des SA-Scores ein.

Häufige Fragen

Welche Datenschutzpflichten haben Arbeitgeber?

Arbeitgeber dürfen Beschäftigten- und Bewerberdaten nur mit Rechtsgrundlage verarbeiten (meist § 26 BDSG oder Einwilligung). Bewerberdaten sind in der Regel nach sechs Monaten zu löschen, Videoüberwachung muss offen kommuniziert werden, und Beschäftigte haben Auskunftsrechte.

Wie lange dürfen Bewerberdaten gespeichert werden?

In der Regel bis zu sechs Monate nach Abschluss des Bewerbungsverfahrens – als Schutz gegen mögliche AGG-Klagen. Eine längere Speicherung (etwa für einen Talentpool) ist nur mit ausdrücklicher Einwilligung der bewerbenden Person zulässig.

Warum ist Datenschutz ein Arbeitgebersignal?

Ein transparenter, sorgfältiger Umgang mit Daten signalisiert Bewerbenden und Mitarbeitenden Respekt und Professionalität. Gerade im digitalen Arbeitsleben ist Datenschutzkompetenz ein echtes Vertrauens- und Qualitätsmerkmal.

Quellen: Datenschutz-Grundverordnung (DSGVO) 2018; Bundesdatenschutzgesetz (BDSG) 2018; Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI), Leitlinien 2025.

DSGVO-konforme Arbeitgeberpraxis: Was Betriebe wissen müssen

Die DSGVO gilt auch im Beschäftigungsverhältnis – und viele Arbeitgeber unterschätzen die Relevanz. Typische Pflichten im Beschäftigungskontext:

• Bewerberdaten: Dürfen maximal sechs Monate nach Abschluss des Bewerbungsverfahrens gespeichert werden (ohne ausdrückliche Einwilligung). Wer Bewerbungsunterlagen einfach im E-Mail-Postfach lässt, riskiert Bußgelder.
• Mitarbeiterdatenverarbeitung: Jede Verarbeitung personenbezogener Daten (Gehaltsabrechnung, Krankmeldungen, Leistungsbewertung) braucht eine Rechtsgrundlage – meist § 26 BDSG oder eine Betriebsvereinbarung.
• Videoüberwachung: Kameras im Betrieb müssen offen kommuniziert werden – verdeckte Überwachung ist grundsätzlich unzulässig.

IT-Sicherheit und Datenschutz als Arbeitgebersignal

Betriebe, die offen mit ihren Datenschutzstandards umgehen, senden ein klares Signal: Hier werden Menschen und ihre Daten respektiert. Das betrifft nicht nur Bewerbende, sondern auch Mitarbeitende. Konkrete Kommunikationsmöglichkeiten:

• Datenschutzbeauftragte und Ansprechperson öffentlich nennen;
• Beschäftigtendatenschutzrichtlinie intern transparent kommunizieren;
• IT-Sicherheitsschulungen als Benefit kommunizieren, nicht als Pflichtveranstaltung.

Datenschutzkompetenz ist im digitalen Arbeitsleben ein echtes Qualitätsmerkmal – für Kunden, Partner und Mitarbeitende gleichermaßen. Mehr zur Unternehmenskultur: Was einen guten Arbeitgeber ausmacht.